China

Gen Digital เปิดเผยว่ากลุ่มที่เชื่อมโยงกับจีนชื่อ UNC3569 ใช้ช่องโหว่ในโปรแกรมพิมพ์ภาษาจีน Sogou Input Method บนวินโดวส์ติดตั้งแบ็กดอร์ GRAYRABBIT บนเครื่องเหยื่อ ห่วงโซ่เริ่มจากลิงก์ที่ประดิษฐ์ขึ้นและจบที่ผู้โจมตีทำอะไรก็ได้เท่าที่ผู้ใช้ที่ล็อกอินอยู่ทำได้ รากของปัญหาคือเบราว์เซอร์ที่ Sogou สร้างเองยังเป็น Chromium เวอร์ชัน 80 จากปี 2563 และถูกปิดทั้งแซนด์บ็อกซ์และนโยบายต้นทางเดียวกันไว้ในโค้ด Tencent แก้ตัวจัดการลิงก์ไปแล้วเมื่อเดือนเมษายน 2569 แต่ไม่ได้แตะเบราว์เซอร์เลย

NSA CISA และ FBI ออกประกาศร่วมกล่าวหาบริษัท AI ในจีนว่าสกัดความสามารถเฉพาะของโมเดลแนวหน้าสหรัฐอย่างเป็นระบบด้วยเทคนิค distillation ในระดับอุตสาหกรรม รายชื่อที่ถูกระบุได้แก่ DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun และ Z.AI ซึ่งดูดโทเค็นนับพันล้านจากโมเดลตระกูล Claude, GPT, Gemini และ Grok มาตั้งแต่ปลายปี 2567 ผ่าน API ผู้ให้บริการคลาวด์ และตัวรวมบริการบุคคลที่สามที่อำพรางข้อมูลผู้ใช้ พร้อมตลาดสีเทาของพร็อกซีที่ขายกันบน Taobao และ Xianyu

บริษัท Sygnia เปิดเผยว่ากลุ่มจารกรรมสายจีน Fire Ant ขยายแคมเปญจากไฮเปอร์ไวเซอร์ VMware ไปยึดเราเตอร์ Cisco IOS XR เซิร์ฟเวอร์ TACACS และโฮสต์บริหาร Linux ที่ใช้จัดเส้นทางและยืนยันตัวตนของเครือข่ายมูลค่าสูง ผู้โจมตีเปลี่ยนเราเตอร์ที่ยึดได้ให้เป็นจุดดักจับทราฟฟิกและเก็บข้อมูลรับรอง พร้อมปิดการบันทึกและเทเลเมทรีที่ผู้ป้องกันใช้สืบสวน กิจกรรมนี้ทับซ้อนอย่างมากกับกลุ่ม UNC3886 ที่รู้จักกันว่าเจาะแพลตฟอร์มเวอร์ชวลไลเซชันและอุปกรณ์ขอบเครือข่าย

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

กระทรวงยุติธรรมสหรัฐฯ ประกาศทลายแพลตฟอร์มแฮ็กสองตัวคือ QScan และ QTRouter ที่ดำเนินการโดยกลุ่มที่รัฐจีนหนุนหลังในชื่อ QTFY ซึ่งรับจ้างอยู่กับบริษัทเทคโนโลยีแห่งหนึ่งในนครหนานจิงที่มีทั้ง MSS และ PLA เป็นลูกค้า เหยื่อรวมถึง NASA ธนาคารกลางสหรัฐฯ กระทรวงพลังงาน และวุฒิสภา QScan ไล่สแกนและยึดอุปกรณ์ IoT ทั่วโลกเข้าเป็นโหนดพร็อกซี ส่วน QTRouter ทำหน้าที่กลบต้นทางให้ทราฟฟิกดูเหมือนมาจากผู้ใช้ในพื้นที่เป้าหมาย

บริษัท QUIRSO เผยว่าช่องโหว่ directory traversal CVE-2026-59310 ใน VMware vCenter คะแนน CVSS 9.8 ถูกนำไปโจมตีจริงหลังแพตช์ออกได้เพียงห้าวัน กระทบเหยื่ออย่างน้อย 361 ไอพีใน 47 ประเทศ นักวิจัยประเมินด้วยความมั่นใจปานกลางว่าผู้โจมตีเป็นกลุ่มที่ใช้ภาษาจีนและทำงานในโซนเวลา UTC+08:00 โดยฝังแบ็กดอร์ linuxFile สร้างบัญชีผู้ดูแลปลอม และวางเว็บเชลล์ที่ปลอมเป็นบริการของ VMware ปลายทางคือแรนซัมแวร์สาย Babuk บนโฮสต์ ESXi ที่อาจถูกใช้เป็นฉากบังตามากกว่าเป้าหมายจริง

บริษัท Symantec เปิดรายงานกลุ่มแฮ็กเกอร์จีน Jewelbug ที่ทำจารกรรมต่อหน่วยงานรัฐและกองทัพในตะวันออกกลาง เอเชียตะวันออกเฉียงใต้ และเอเชียใต้ ควบคู่กับธุรกิจฉ้อโกงคริปโตขนาดอุตสาหกรรมจากแผงควบคุมเดียวกัน กลุ่มนี้ได้สิทธิ์เขียนไฟล์บนระบบเว็บเมลที่หลายกระทรวงใช้ร่วมกัน แล้วแทรกสคริปต์ลงในเทมเพลตกลางจนดักคุกกี้ของ 15 หน่วยงานได้พร้อมกัน นักวิจัยเข้าถึงฐานข้อมูลของกลุ่มและพบบันทึกเช็กอินของอิมแพลนต์กว่าหนึ่งล้านรายการ คุกกี้ที่ขโมยมากว่า 580,000 รายการ และเนื้อความอีเมลที่ถูกดูดออกกว่า 2,300 ฉบับ

บริษัท Dream ของอิสราเอลเปิดโปงเวิร์กสเปซขนาด 160 เมกะไบต์ 1,395 ไฟล์ ของกรอบเอเจนต์ AI ที่ประกอบจาก Hermes และ OpenClaw ซึ่งไล่เจาะหน่วยงานรัฐในเอเชียเองเกือบทั้งกระบวนการตลอด 4 วันต้นเดือนกรกฎาคม 2569 ระบบปล่อยเอเจนต์ย่อยพร้อมกันสูงสุด 8 ตัว แม็ปได้ 21 ระบบ แคร็ก 85 บัญชี และดูดประวัติบุคลากรกว่า 2,564 รายการ ก่อนขยายไปยังหน่วยงานความปลอดภัยนิวเคลียร์และบริษัทพลังงานอีกอย่างน้อย 7 แห่ง การ์ดของโมเดลถูกข้ามด้วยการอ้างว่าทั้งหมดเป็นการทดสอบเจาะระบบที่ได้รับอนุญาต

Microsoft เปิดเผยว่ากลุ่มผู้โจมตีที่มีแรงจูงใจทางการเงินและถูกโยงกับจีนในชื่อ Storm-1175 ได้เริ่มใช้แรนซัมแวร์สายพันธุ์ใหม่ที่ไม่เคยมีการบันทึกมาก่อนชื่อ StormEncryptor แทนที่ Medusa ที่เคยใช้มาตลอด ตัวมัลแวร์เขียนด้วย C++ เติมนามสกุล .encrypted และทิ้งโน้ตเรียกค่าไถ่ชื่อ !!!README_FIRST!!!.txt ไว้ทุกไดเรกทอรี Microsoft ประเมินว่าการเข้าถึงครั้งแรกน่าจะมาจากการใช้ช่องโหว่ CVE-2026-18577 ใน N-able N-central ซึ่งเป็นการข้ามแพตช์ของ CVE-2026-18556 และถูก CISA ระบุว่าถูกใช้โจมตีจริงแล้ว

บริษัท VulnCheck เปิดเผยแบ็กดอร์ที่ติดตั้งมาจากโรงงานในเราเตอร์ Zbtlink ของจีนอย่างน้อย 20 รุ่น พบในเฟิร์มแวร์ทั้ง 21 ไฟล์ที่เปิดให้ดาวน์โหลดครอบคลุมกว่า 2 ปี ตัวฝังชื่อ ENDLESSDOORS ปลอมตัวเป็นเธรดของเคอร์เนล Linux แต่จริงๆ รันด้วยสิทธิ์ root และติดต่อเซิร์ฟเวอร์ควบคุมในจีนทุก 35 วินาที โดยไม่มีการยืนยันตัวตนใดๆ ทำให้ใครก็ตามที่ควบคุมเส้นทางเครือข่ายหรือชื่อโดเมนปลายทางได้ สามารถสั่งเปิดเชลล์ root แบบโต้ตอบบนเราเตอร์เหล่านั้น